Yearn yETH 익스플로잇 — 무한 민트로 약 1,000 ETH 탈취, 자금은 Tornado Cash로 이동
Yearn Finance의 yETH 볼트는 2025년 11월 30일 공격자가 yETH(리퀴드 스테이킹된 ETH, LST) 인덱스 토큰의 무제한 민팅을 트리거하고 단일 트랜잭션으로 볼트를 비우면서 악용되었습니다. 온체인 데이터에 따르면 공격자는 거의 무한에 가까운 yETH를 민트하고 약 1,000 ETH(약 300만 달러)를 약 1,100만 달러를 보유한 풀에서 인출했으며, 수익은 Tornado Cash를 통해 경로를 바꿨습니다. 이 익스플로잇은 트랜잭션 후 셀프디스트럭트한 새로 배포된 스마트 컨트랙트를 사용했습니다. Yearn은 침해 사실을 확인하고 영향을 받은 yETH 볼트를 일시 정지했으며 V2 및 V3 볼트는 영향받지 않았다고 밝혔고, 민팅 로직 취약성을 검토하고 패치하기 위해 독립 감사인을 참여시켰습니다. 이 사건은 DeFi 손실의 전반적 증가에 따른 것으로 CertiK은 11월에 해킹으로 약 1.27억 달러가 손실됐다고 보고했으며, Yearn의 과거 사건들(yDAI 2021, 재무 스크립트 2023)을 떠올리게 합니다. 트레이더는 Yearn 공지, 익스플로잇 주소의 온체인 흐름, 복구 또는 보상 계획을 주시해야 합니다. 즉각적인 리스크 관리 조치: yETH 및 관련 LST 제품에 대한 노출을 줄이거나 철회하고, 유동성과 오라클 거동을 모니터링하며, 오래되었거나 복잡한 볼트 컨트랙트를 더 높은 위험으로 플래그하세요.
Bearish
이번 익스플로잇은 Yearn의 LST 상품인 yETH에 직접적인 영향을 미쳐, 볼트(vault)의 유동성을 고갈시키고 민팅 로직에 대한 신뢰를 훼손했습니다. 단기적으로 yETH 및 관련 Yearn 상품에 대한 시장 영향은 약세(베어리시)일 가능성이 큽니다: 즉각적인 인출, 유입 감소, 트레이더들이 인지된 리스크를 회피하고 온체인 보유자들이 포지션을 재조정함에 따른 변동성 상승. 자금을 Tornado Cash를 통해 라우팅한 것은 회복 가능성을 낮추고 상대방/AML 관련 우려를 증대시켜 수요를 더 위축시킬 수 있습니다. 중기적으로는 Yearn의 복구 조치가 느리거나 불완전하고, 차익거래자 및 유동성 제공자들이 yETH를 회피하면 가격 하방 압력이 계속될 수 있습니다. 하지만 Yearn이 신속히 컨트랙트를 패치하고 투명한 보상 또는 복구안을 제시하여 신뢰를 회복한다면 몇 주에서 몇 달 사이에 하방 압력이 완화될 수 있습니다. 전반적으로 이번 사건은 유동화 스테이킹 파생상품(LST)과 오래된/복잡한 볼트 컨트랙트에 대한 인지된 리스크를 증가시키며, 명확한 복구 조치가 이행될 때까지 영향을 받은 토큰의 투자자 경계가 높아지고 유동성이 낮아질 가능성이 큽니다.